Brukere, autentisering og autorisering på UiOs nettsted

Måle med dette notatet er å tydeliggjøre behovet for å få dratt igang en helhetlig prosess og etablere felles løsninger for brukerhåndteringen på UiOs nettsted. "UiOs nettsted" kan man i denne forbindelse vagt definere som alle tjenester og dokumenter som er tilgjengelige på web og leveres av UiO.

Jeg vil prøve å tydeliggjøre og komme med eksempler på problemtillinger knyttet til domenet, delt i områdene brukere, autentisering og autorisasjon. Vær oppmerksom på at jeg ikke har full oversikt, så detaljer i det jeg beskriver kan være unøyaktig eller feil.

Usit tilbyr mange web-baserte tjenester til UiO, "eid" av forskjellige deler av den interne organisasjonen. Dette gjør det viktig at Usits ledelse er bevisst på deres ansvar for å sikre en overordnet helhet i tjenestespekteret. Arbeidet med web-infrastruktur, som dette dokumentet beskriver problemstillinger rundt, er viktig for UiO.

Brukere av UiOs nettsted

Dagens brukergrupper

Hvis vi holder forskjellige "system"-brukere utenfor, har vi på UiOs nettsted tradisjonelt hatt tre typer brukergrupper:

• anonyme nettvandrere
• uio-brukere
• tjeneste-spesifikke brukere
  

Nye brukergrupper

Med innføring av feide får vi en ny potensiell brukergruppe som er

• brukere fra andre institusjoner

og på sikt vil vi også kunne regne med å kunne få (med federering, for eksempel mot en statlig portal)

• brukere identifisert av andre systemer

Ikke-verifiserte brukere

Ikke-verifiserte brukere er brukere som ikke er sentralt kontrollert og verifisert av UiO eller en annen feide-institusjon. Idag kan vi løse behov for denne typen brukere i det enkelte system, med moderering eller ukontrollert oppretting av tjenestespesifikke brukere. Konkrete bruksområder for denne typen brukere er for eksempel:

• Gi leserett (skriverett?) til ressurser på uios nettsted til eksterne brukere (for eksempel htaccess i apache)
• Alumni-systemet
• Kjøp/salg (tilsvarende dagens tavleløsning)
• Diskusjonsforum som er relevante for alle nettvandrere
• Kommentering, for blogging og lignende
• Wiki-løsninger
• Invitere brukere utenfor feide til undersøkelser (som i dagens nettskjema)

Foreløpig har vi muligens en håndterbar bruk av slike brukere, selv om jeg ikke vet om vi egentlig har oversikt over nettstedet som helhet. Og så lenge disse brukerne bare eksisterer i det enkelte system for å gi begrensede rettigheter, fungerer tjenestelokale brukere muligens akseptabelt. Men mangelen på oversikt gir en uklar sikkerhetssituasjon, og slike systemer vil ikke la seg integrere i en mer helhetlig sammenheng eller infrastruktur. I tillegg er det grunn til å anta at den totale kostnaden ved å vedlikeholde en rekke forskjellige slike brukerkomponenter, over tid koster mer enn en sentralisert løsning, med forskjellige løsninger for oppretting, administrasjon, passordskifte, innlogging, o.s.v.

På kort og kanskje på mellomlang sikt, vil det være mulig å søke å begrense behovene for slike brukere. Men det er liten tvil om at dette er noe som det bør forventes at Usit har en strategi for. På litt sikt er den eneste fornuftige løsningen, slik jeg ser det, at Usit utarbeider en prosess rundt, og et sentralisert system for, administrering og bruk av slike brukere på tvers av tjenestene på nettstedet.

Hvis dette er en konklusjon det er enighet om, er det viktig at vi får fart på dette arbeidet så raskt som mulig. Det er for tiden flere systemer under planlegging, hvor slike brukere er sannsynlige. Det er viktig at disse systemene blir vurdert i forhold til et planlagt sentralisert system for brukeradministrasjon. Dette er også en nødvendig avklaring i planleggingen av mulige autentiseringsløsninger.

Autentisering

Idag finnes det grovt sett tre mulige løsninger for autentisering, som kan kombineres og spenner over forskjellige brukergrupper:

• Tjenestespesifikk innlogging (htaccsess, nettskjema)
• ldap-innlogging (uio-brukere, nis er tilsvarende)
• feide-innlogging (feide-brukere)
  

Valget av løsning er idag opp til den enkelte tjeneste, noe som er greit sålenge nettstedet bare skal betså å små spesifikke enkelttjenester. Som generell infrastruktur under et helhetlig nettsted for UiO, er det derimot vanskelig å tilby noe annet enn en felles, generell innloggingsløsning. I og med at autorisering kan være opp til den enkelte administrator av enkeltressurser, vil det være en utfordring å ha et parallelt opplegg for begrensing av innlogging til spesifikke brukergrupper.

Til nå har det vært veldig sporadiske behov for annen innlogging enn UiO-brukere, men tilgang for andre feidebrukere er økende og også ikke-verifiserte brukere er et stadig økende behov. Håndteringen av dette er ikke uproblematisk, og trenger sårt at Usit gjør en generell vurdering av hvilke muligheter vi ønsker å tilby på UiOs nettsted. Noen eksempler:

• Er det slik at ikkeverifiserte brukere skal kunne ha tilgang til tjenester, kan ikke feide brukes som primær innloggingsløsning
• Skal brukere fra andre institusjoner ha tilgang til tjenester som ikke er browserbaserte, vil vi måtte ha et avklart forhold til våre systemers adgang til eksterne brukeres passord.
  
• I og med at webdav er en grunnleggende tjeneste for UiOs nettsted, er dette en problemstilling det er viktig å avklare
• Hvilke tjenester på UiOs nettsted skal regnes som del av en felles løsning, og hvilke skal skilles ut?
  
• Ønsker vi å tilby SSO mellom det som idag behandles som separate tjenesteøyer på nettstedet?
  

Autorisering

Autorisering av verifiserte brukere

Autorisering gjøres i utgangspunktet spesifikt for den enkelte tjeneste vi tilbyr på web. For vortex, den generelle web-infrastrukturen, er dette en todelt modell:

• bare brukere som systemet kan autentisere kan autoriseres (reguleres av registrert feide-tilgang).
• brukerautoriseringen er delegert til brukerne med rettigheter på en gitt ressurs.
  

Per idag betyr dette at alle feide-brukere hvor institusjonen har åpnet for UiOs nettsted kan gis autorisasjon på UiOs nettsted, av de som har rettigheter til dette. Med andre ord vil enten alle deler av uios nettsted kjenne til en brukers eksistens eller ingen.

Det er teknisk mulig for oss å sørge for at bare enkeltdeler av UiOs nettsted kjenner til spesifikke brukergrupper, ved å dele opp nettstedet i forskjellige "tjenester". Men administrasjonen av en slik løsning for eksterne brukere, blir fort uhåndterbar. For eksempel vil det hver gang et behov måtte oppstå for å gi feidebrukere tilgang, måtte settes igang en mølle hvor noen ved UiO:

• kontakter alle relevante institusjoner for godkjenning
• kontakter feide for å få opprettet tjenestebruker
• sørger for at alle institusjonene godkjenner denne tjenesten
• setter opp en spesifikk site for dette behovet
• med mer
  

Formålet, både med feide og vortex, er å tilby enklere og mer konsistente tjenester til brukerne, når de trenger det. Oppdeling av UiOs nettsted i "tjenester" i tråd med feides tjenestebegrep er rett og slett ikke det vi ønsker. Men for å komme dit, må vi ha en bevisst prosess rundt og klare rammer for hvordan vi skal håndtere disse problemene.

---

Enhet: USIT, webredaksjon@usit.uio.no
Dokument opprettet: 31.05.2006, endret: 31.05.2006Administrer dette dokumentet